HttpClient生成的multipart/form-data中name参数是否需加引号？

示例代码 #

using (var client = new HttpClient() { Timeout = TimeSpan.FromSeconds(10) })
{
    using (var content = new MultipartFormDataContent())
    {
        content.Add(new StringContent("abc"), "token");
        var response = await client.PostAsync("http://localhost", content);
        var result = await response.Content.ReadAsStringAsync();
    }
}

生成的HTTP请求 #

POST http://localhost/ HTTP/1.1
Host: localhost
Content-Type: multipart/form-data; boundary="4b39ed14-752b-480a-9846-fc0019132d15"
Content-Length: 174

--4b39ed14-752b-480a-9846-fc0019132d15
Content-Type: text/plain; charset=utf-8
Content-Disposition: form-data; name=token

abc
--4b39ed14-752b-480a-9846-fc0019132d15--

问题场景 #

客户反馈WAF拦截了上述请求，要求name参数必须添加引号，即格式应为：

Content-Disposition: form-data; name="token"

规范与实际兼容说明 #

根据HTTP表单提交的官方规范RFC 7578，当name参数的值属于token字符集（不含空格、引号、逗号等特殊字符）时，带引号或不带引号的写法都是合法的。但在实际生产环境中，不少WAF、服务器框架会强制要求带引号的格式——这是因为早期的HTTP实现普遍采用带引号的写法，部分老旧解析器仅能正确处理带引号的参数，同时带引号的格式能避免因参数值包含特殊字符导致的解析歧义。

如果要绕过WAF拦截，最稳妥的方式是使用带引号的name参数格式。在.NET环境中，可以通过显式将name参数用引号包裹后传入，或者自定义ContentDispositionHeaderValue来指定格式。

内容的提问来源于stack exchange，提问作者Darkwing